создает основу для международного сотрудничества полиции и судебных органов в борьбе с киберпреступностью.
Нам не нужны государства, управляющие интернетом. Бо́льшая часть инноваций в сети появилась благодаря «благожелательному невниманию» правительства США. Однако теперь все больше стран хотят активнее участвовать в управлении интернетом, по крайней мере, в пределах своих границ.
Современная модель управления интернетом многогранна и включает в себя правительства, компании, гражданское общество и технологов-профессионалов. Интересно, что какой бы нелепой эта модель ни казалась на первый взгляд, именно такой подход – лучшая гарантия безопасности в интернете. К тому же она предотвращает раскол, так называемую балканизацию интернета, которая могла бы произойти в результате насаждения тоталитарными странами своих требований.
Нормы – неформальные правила поведения для отдельных лиц, корпораций и государств, регулирующие гораздо больше аспектов в жизни общества, чем многие полагают. Однако в настоящее время у нас нет установленных международных норм, предписывающих использование кибероружия. Хуже того, нынешняя норма в отношении кибершпионажа неявно подразумевает, что в нем нет ничего предосудительного. Могу лишь повторить мысль, высказанную мной в главе 4: в настоящее время в мире наблюдается пик гонки кибервооружений. И каждая страна придумывает ее правила и нормы буквально на ходу.
Политолог Джозеф Най{309} считает, что страны могут разработать нормы, способные существенно ограничить кибератаки. По целому ряду причин это в интересах самих стран – договориться о том, чтобы не атаковать инфраструктуру друг друга в мирное время или не использовать кибероружие против гражданского населения даже в период войны. Подобные нормы в конечном итоге найдут отражение в международных договорах и других официальных соглашениях.
Одно из препятствий на пути к консенсусу – мнение правительств ряда стран, что усиление кибербезопасности оказывается на руку инакомыслящим, стремящимся безнаказанно влиять на внутреннюю политику государства. Вирусный диссидентский контент, утверждают они, может представлять такую же угрозу, как и вирусный код. Такая позиция весьма усложняет многосторонние переговоры.
Так, в 2013 г. в ООН была создана Группа правительственных экспертов по достижениям в области информации и телекоммуникаций в контексте международной безопасности (Group of Governmental Experts on Developments in the Field of Information and Telecommunications in the Context of International Security – GGE), которая разработала ряд норм, согласованных на международном уровне. Однако эти нормы были немедленно заблокированы рядом стран, и в 2017 г. группа была распущена, поскольку ее работа зашла в тупик.
И все-таки к каким-то соглашениям можно прийти. Если пока государства не сходятся во мнении относительно наращивания кибервооружений, вполне вероятно, что они смогут договориться о некоторых стандартах его нераспространения. Борьбу с распространением оружия массового поражения можно считать удачным примером международного контроля в сфере безопасности. Более ста стран, в числе которых обычно не склонная к компромиссам Россия, согласились принять участие в этой инициативе. Идея ее в предотвращении распространения нелегального оружия за счет введения более высоких стандартов безопасности и экспортного контроля, перехвата материалов, необходимых для создания оружия массового поражения, а также за счет обмена информацией и опытом.
Как правило, после заключения каких бы то ни было соглашений довольно быстро возникают проблемы с соблюдением договоренностей. Кибероружие легко утаить{310} от инспекторов и аудиторов, а наступательные технологии часто схожи с оборонительными. Вспомним, однако, что аналогичные трудности сопровождали первые ядерные договоры, подписанные в 1960-е гг., тем не менее шаги в этом направлении положили начало успешному процессу, который, как мы видим, сделал мир намного безопаснее.
Некоторые мысли о том, как инициировать заключение международного соглашения по кибербезопасности, уже существуют. В докладе 2014 г. эксперт по киберполитике Джейсон Хили рекомендовал запустить международный режим регулирования, аналогичный тому, что был инициирован после мирового финансового кризиса 2008 г. В том же 2014 г. Мэтт Томлинсон{311} из Microsoft предложил создать «группу G20+20» в составе 20 правительств и 20 мировых компаний, работающих в сфере информационно-коммуникационных технологий, для разработки перечня основополагающих принципов приемлемого поведения в киберпространстве. Президент и главный юридический директор Microsoft Брэд Смит{312} выступил с идеей создать аналог Женевской конвенции для киберпространства, установив запрет на вмешательство в некоторые вопросы межправительственных органов. У Google{313} тоже есть собственные идеи. Все перечисленные выше шаги выглядят достаточно перспективными.
Установление норм – длительный процесс. Мы добьемся позитивных сдвигов в этом деле скорее путем постепенного наращивания сотрудничества и заключения отдельных соглашений, нежели продавливанием немедленного проведения всеобъемлющей идеальной сделки между всеми игроками. И даже при более мягком сценарии какие-то страны откажутся от соблюдения правил, стандартов или рекомендаций, отвергнут любую политику регулирования. Мы будем решать эту проблему так же, как и в любой другой области международного права. Ошибки будут неизбежны, но со временем мы усовершенствуем систему.
В США мы устанавливаем нормы собственным поведением, которое, увы, зачастую оставляет желать лучшего. Так, используя интернет для внутренней слежки и внешней агрессии, мы говорим всему миру, что такие действия допустимы и даже нормальны. Отдавая предпочтение агрессии, а не заботе о всеобщей безопасности, мы делаем более воинственными всех, кто на нас смотрит и кто берет с нас пример.
Глава 9Смена приоритетов: Правительство должно перейти от киберагрессии к обеспечению кибербезопасности
Если правительства тех или иных стран действительно собираются взять на себя ведущую роль в повышении безопасности интернета+ (а я уже заявлял выше, что они должны это делать), то им необходимо пересмотреть свои приоритеты. В настоящее время государственные органы предпочитают использовать интернет скорее в наступательных целях (как именно это делается, я описал в главе 4), но если мы все-таки хотим достичь заметного прогресса в области безопасности, то уже сейчас необходимо менять принципы мышления и стремиться уделять более пристальное внимание обороне. Иначе говоря, правительства должны придерживаться такого плана, который Джейсон Хили называет стратегией доминирования обороны.
Да, нападение порой – необходимый элемент обороны. Разведывательные и правоохранительные органы либерально-демократических стран наделены полномочиями вести наблюдение за действиями враждебных государств, контролировать деятельность террористических организаций, расследовать преступления. Они тоже используют слабые места интернета в своей работе и не считают, что это противоречит сути их деятельности. Более того, они позиционируют себя как истинных борцов за безопасный мир, однако, по сути, их действия подрывают безопасность цифрового пространства.
Перед американским АНБ стоят две основные задачи{314}: наблюдение за коммуникациями правительств других стран и защита коммуникаций правительства США от слежки. В старом мире двухточечных цепей эти миссии дополняли друг друга, потому что системы не пересекались. Например, АНБ могло бы найти способ отслеживать линию военно-морской связи между Москвой и Владивостоком и затем использовать полученный опыт для защиты линии связи военно-морского флота между, скажем, Вашингтоном (округ Колумбия) и Норфолком (штат Вирджиния). Прослушивание советских систем связи или систем связи стран – участниц Варшавского договора никак не влияло на особенности внутриамериканской связи, потому что их радиосистемы были другими. Вмешательство в работу китайских военных компьютеров не влияло на американские вычислительные машины, потому что компьютеры у этих стран были разными. В мире, где компьютеры были редкостью, сети встречались еще реже, а интерпретация кодов и сигналов не являлась универсальной, действия АНБ за границей никак не отражались на цифровой системе США.
Сейчас все кардинально поменялось. За небольшим исключением, во всем мире используются одни и те же компьютеры и телефоны, одни и те же операционные системы и одни и те же стандартные приложения. Повсюду установлено одно и то же интернет-оборудование и ПО. Вот почему нельзя одновременно открыть иностранные сети для прослушивания и атак и защитить американские сети от того же самого. Невозможно защитить наши телефоны и компьютеры от преступников и террористов, не обеспечив безопасность телефонов и компьютеров, которыми пользуются те же самые преступники и террористы. В универсальной всемирной сети, которой и является интернет, все, что мы делаем для защиты ее аппаратного и программного обеспечения, защищает эти устройства сразу во всем мире. И наоборот, любые действия, которые мы предпринимаем, чтобы взломать средства защиты, безукоснительно влияют на весь мир.
Такая ситуация оставляет мало возможностей для выбора: либо мы защищаем наши компьютеры и сети и автоматически защищаем компьютеры и сети наших противников, либо мы находим уязвимости у них и тем самым делаем уязвимым наше собственное оборудование. Нет ничего сложного в понимании этого принципа. Вот элементарная аналогия: представьте себе, что каждый дом можно было бы открыть специальной отмычкой и об этом стало бы известно преступникам. Изобретение более сложных замков означало бы, что конспиративные дома преступников тоже будут лучше защищены. Впрочем, очевидно, что этот аргумент не является достаточным для того, чтобы перестать защищать дома обычных людей. Учитывая, что введение интернета+ резко увеличивает риск незащищенности, выбор становится еще более оче